2026년 9월 3일, 정부가 티빙 해킹 사건의 최종 조사 결과를 발표했다. 지난 6월 처음 알려진 유출 규모는 1,300만 명이었다. 석 달 뒤 나온 정부 발표는 3,954만 개 계정이라는 숫자를 내놨다.
유출 계정 3,954만 개, 접속키 침입은 "추정"에서 "확인"으로
6월 사고 발생 당시 티빙은 DB 서버가 직접 침입당해 CI·DI를 포함한 회원 정보가 유출됐다고 발표했고, 유출 규모는 1,300만 명으로 알려졌다. 침입 경로에 대해서는 업계가 "GitHub·클라우드에 노출된 접속키를 통해 접근했을 가능성"을 정황상 추정했을 뿐, 공식 원인은 민관 합동조사단의 결론을 기다려야 하는 상태였다.
9월 3일 과학기술정보통신부가 발표한 민관합동조사단 조사 결과는 두 가지를 확정했다. 첫째, 실제 유출 규모는 활성 계정 2,206만 개, 휴면 850만 개, 탈퇴 887만 개, 테스트 11만 개를 합친 3,954만 개 계정이었다(개발 프로젝트 361건·30.35GB도 함께 유출). 둘째, 공격 경로는 정황 추정이 아니라 "접속키를 이용한 침입"으로 공식 확인됐다.
더 무거운 사실은 따로 있다. 티빙은 2024년 진행한 모의해킹에서 이미 개발·운영환경 접속키가 소스코드에 노출되는 취약점을 발견했다. 그리고 개선하지 않았다. 2년 뒤 공격자는 사전에 탈취한 개발환경 접속키로 들어와, 소스코드에 적혀 있던 운영환경 접속키로 운영환경까지 침투했다. 다만 처음 개발환경 접속키를 손에 넣은 경로는 로그 보관 기간을 벗어나 밝혀지지 않았다.
왜 징벌적 과징금은 비껴갔나
4천만 개에 육박하는 계정이 유출됐는데 지금까지 예고된 제재는 과기정통부 과태료 최대 3천만원이다. 더 무거운 징벌적 과징금을 비껴간 이유는 시행 시점에 있다. 반복적·중대한 개인정보 유출에 매출 최대 10%까지 징벌적 과징금을 물릴 수 있는 개정 개인정보보호법의 시행일은 2026년 9월 11일이다. 티빙 사고는 5월 30일 발생했다. 법 시행일보다 석 달여 앞섰다는 이유로, 규모가 훨씬 작았던 과거 유출 사고들과 똑같은 처벌 틀을 적용받는다.
개인정보보호법상 과징금(전체 매출의 최대 3%)은 별도로 검토 중이지만 액수는 아직 정해지지 않았다. 6월 사고 직후에는 최대 약 121억원이 추정됐는데, 이는 매출 대비 산정이라 유출 계정이 3,954만 개로 확인된 지금도 재산정 결과는 따로 나오지 않았다. 지금까지 부과 방침이 나온 건 정보통신망법 위반에 따른 과태료 최대 3천만원뿐이다.
뒤늦은 대응: 보상 300만원, 보안투자 4배
티빙은 이용자 보상으로 5,000원 상당의 포인트와 함께, 1년간 해킹·피싱·온라인 거래 사기 피해를 1인당 최대 300만원까지 보장하는 안심보험을 제공한다고 밝혔다. 재발 방지 대책도 함께 내놨다. 연 30억원 수준이던 보안 투자를 2030년까지 100억~120억원으로 늘리고, 보안 인력은 5년 안에 3배로 증원하며, 제로 트러스트 기반 접근통제와 AI 기반 이상행위 탐지 체계를 구축하겠다는 계획이다.
숫자만 보면 진지한 재발 방지책처럼 보인다. 그런데 이 모든 계획은 2024년 모의해킹이 이미 경고했던 접속키 관리 문제와 조사에서 드러난 감시 인력 부족을 사고가 터진 뒤에야 뒤늦게 해결하겠다는 것이기도 하다.
실용 관점: 알고도 방치되는 취약점을 어떻게 막나
이번 조사가 남긴 진짜 교훈은 침해 경로 자체보다 그 경로가 2년 전에 이미 발견됐다는 사실에 있다. 모의해킹은 위협을 미리 찾아내려고 하는 절차인데, 찾아낸 뒤 후속 조치가 없으면 위협 목록으로만 남는다. 개발 인력 149명 대비 정보보호 전담 인력이 4명에 불과했다는 조사 결과는, 취약점을 몰라서가 아니라 고칠 인력이 없어서 방치됐을 가능성을 가리킨다.
대규모 회원 데이터를 다루는 국내 서비스일수록, 모의해킹 결과가 실제 패치로 이어지는지 추적하는 체계와 이를 실행할 인력 배분이 사고 이전에 갖춰져 있어야 한다는 뜻이다. 사고 이후에 발표하는 재발 방지책은, 그 자체로 이미 늦은 재발 방지책이다.
참고 자료
안내 및 법적 고지
AI 활용 안내
이 글은 AI(Claude)의 도움을 받아 작성되었습니다.
인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항
본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다.
언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라
처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.